Wer PlayStation-5-Spiele auf dem PC ausprobieren möchte, sollte derzeit besonders vorsichtig sein. Sicherheitsforscher von NordVPN haben eine Malware-Kampagne aufgedeckt, bei der Kriminelle gefälschte PS5-Emulatoren über GitHub verbreiten. Die Schadsoftware soll Passwörter und andere sensible Daten auslesen, Windows Defender gezielt umgehen und anschließend ihre eigenen Spuren beseitigen. Besonders heimtückisch: Die gefälschten Downloads tarnen sich als bekannte Projekte aus der Emulationsszene und können dadurch selbst technisch interessierte Nutzer täuschen.
Betrüger kopieren bekannte PS5 Emulator Projekte
Die aktuelle Warnung betrifft vor allem zwei Namen, die innerhalb der noch jungen PS5-Emulationsszene bekannt sind: AnyPS5 und KytyPS5.
AnyPS5 verfolgt einen ungewöhnlichen Ansatz. Statt eine komplette PlayStation 5 zu emulieren, arbeitet das Projekt an einer Kompatibilitätsschicht, mit der bestimmte PS5-Anwendungen auf Windows und Linux ausgeführt werden können.
Das könnte dich auch interessieren
KytyPS5 setzt dagegen auf klassische Emulation und versucht, Funktionen der PlayStation-Hardware auf einem PC nachzubilden.
Beide Projekte befinden sich in einem experimentellen Entwicklungsstadium. Eine vollständige Unterstützung der PS5-Spielebibliothek bieten sie nicht.
Genau ihre Bekanntheit machen sich Kriminelle nun offenbar zunutze.
Laut einer Untersuchung des Threat-Intelligence-Teams von NordVPN wurden auf GitHub mehrere Repositories entdeckt, die sich als offizielle Downloadseiten dieser Projekte ausgeben.
Dabei übernehmen die Angreifer bekannte Namen und eine glaubwürdig wirkende Präsentation, um Nutzer zum Herunterladen manipulierter Dateien zu bewegen.
Die eigentlichen Entwickler der Emulatoren sind nach bisherigem Kenntnisstand nicht für die Schadsoftware verantwortlich. Die Gefahr geht von nachgeahmten Projektseiten und deren Downloads aus.
So funktioniert die gefährliche Schadsoftware
Besonders auffällig ist der technische Aufbau der entdeckten Malware.
Die gefälschten GitHub-Projekte führen Nutzer zu ZIP-Dateien, die eine ausführbare Windows-Anwendung enthalten.
Wird diese gestartet, beginnt ein mehrstufiger Ablauf.
Zunächst überprüft die Software die Umgebung, in der sie ausgeführt wird.
Dabei untersucht sie unter anderem, ob ausreichend Arbeitsspeicher vorhanden ist, ob eine physische Grafikkarte erkannt wird und ob das System möglicherweise innerhalb einer virtuellen Maschine läuft.
Auch typische Merkmale von Cloud-Servern werden berücksichtigt.
Findet die Anwendung Hinweise auf eine Analyseumgebung, beendet sie sich möglicherweise, ohne ihre eigentliche Schadfunktion auszuführen.
Das soll verhindern, dass Sicherheitsforscher die Malware in kontrollierten Testsystemen problemlos untersuchen können.
Wird dagegen ein gewöhnlicher Computer erkannt, setzt das Programm seine Arbeit fort.
Windows Defender wird gezielt umgangen
Im nächsten Schritt versucht die Schadsoftware, sich vor Microsofts integriertem Virenschutz zu verstecken.
Dazu werden Ausnahmen in Microsoft Defender eingerichtet.
Bestimmte Dateien oder Verzeichnisse können dadurch von regulären Sicherheitsprüfungen ausgeschlossen werden.
Anschließend entschlüsselt und startet die Malware eine weitere ausführbare Datei.
Die Sicherheitsforscher vermuten, dass es sich dabei um einen sogenannten Infostealer handelt.
Solche Schadprogramme sind darauf ausgelegt, sensible Informationen von einem Computer zu sammeln.
Dazu können gespeicherte Zugangsdaten, Browserinformationen und andere persönliche Daten gehören.
Welche konkreten Informationen die hier untersuchte Schadsoftware tatsächlich auslesen konnte, wurde bislang nicht vollständig offengelegt.
Auch der vermutete Infostealer wurde in den veröffentlichten Informationen nicht eindeutig einer bekannten Malware-Familie zugeordnet.
Die dokumentierten Funktionen reichen allerdings aus, um die Downloads als ernsthafte Sicherheitsbedrohung einzustufen.
Nach zwei Minuten verschwinden die Spuren
Eine weitere Besonderheit macht die Kampagne besonders schwer erkennbar.
Nach Angaben der Sicherheitsforscher startet ungefähr zwei Minuten nach der Infektion ein Bereinigungsskript.
Dieses entfernt die zuvor abgelegten Malware-Dateien vom Computer.
Für den betroffenen Nutzer kann dadurch der Eindruck entstehen, dass lediglich ein fehlerhafter Download oder ein nicht funktionierender Emulator gestartet wurde.
Tatsächlich könnte die Schadsoftware zu diesem Zeitpunkt bereits sensible Daten gesammelt haben.
Hinzu kommt die Verwendung selbst signierter Zertifikate.
Diese sollen den ausführbaren Dateien einen möglichst glaubwürdigen Anschein verleihen.
Den Forschern fiel auf, dass die Zertifikate offenbar mit erfundenen Unternehmensnamen erstellt wurden und zeitlich eng mit der Erstellung der Malware zusammenhingen.
Die gleichförmigen Merkmale könnten darauf hindeuten, dass zumindest Teile der Kampagne automatisiert ablaufen.
Eine offizielle Bestätigung über die Identität oder Herkunft der Angreifer liegt bislang nicht vor.
Warum gerade PS5 Emulatoren ein interessantes Ziel sind
Die Emulationsszene hat sich in den vergangenen Monaten deutlich weiterentwickelt.
Während Emulatoren für ältere Plattformen wie PlayStation 1 oder PlayStation 2 seit vielen Jahren existieren, steckt die Emulation der PS5 noch vergleichsweise am Anfang.
Neue Projekte und technische Demonstrationen sorgen deshalb regelmäßig für Aufmerksamkeit.
Viele Interessierte verfolgen die Entwicklung über GitHub, wo Entwickler ihren Quellcode und experimentelle Versionen veröffentlichen.
Genau darin liegt allerdings ein Risiko.
Da zahlreiche Projekte noch keine komfortablen Installationsprogramme besitzen, sind Nutzer daran gewöhnt, ZIP-Archive herunterzuladen und nicht digital signierte Anwendungen auszuführen.
Kriminelle versuchen, dieses Verhalten auszunutzen.
Eine professionell wirkende GitHub-Seite bedeutet schließlich nicht automatisch, dass der angebotene Download vertrauenswürdig ist.
Auch GitHub selbst ist keine Garantie dafür, dass sämtliche dort veröffentlichten Programme sicher sind.
Wichtig ist außerdem die Unterscheidung zur Homebrew-Szene auf der PlayStation 5.
Erst kürzlich berichteten wir darüber, dass der PS3-Emulator RPCS3 inzwischen direkt auf einer modifizierten PS5 ausgeführt werden kann.
Dabei handelt es sich um einen Emulator, der ältere PlayStation-3-Spiele auf der PS5 ausführen soll.
Die jetzt entdeckte Malware-Kampagne verfolgt dagegen den umgekehrten Ansatz als Tarnung: Angebliche PS5-Emulatoren sollen Nutzer dazu bringen, gefährliche Programme auf ihren Windows-PCs zu starten.
Beide Bereiche sollten deshalb nicht miteinander verwechselt werden.
Woran erkennt man einen gefälschten Emulator?
NordVPN empfiehlt, vor jedem Download genau zu überprüfen, ob die angebotene Software tatsächlich vom ursprünglichen Entwicklerteam stammt.
Besondere Vorsicht ist angebracht, wenn eine Projektseite erst seit kurzer Zeit existiert, kaum nachvollziehbare Entwicklungshistorie besitzt oder sich lediglich durch einen leicht veränderten Namen von einem bekannten Projekt unterscheidet.
Auch ungewöhnliche Downloadangebote sind ein Warnsignal.
Wenn ein experimenteller Emulator plötzlich mit einer besonders einfachen Installationsdatei beworben wird oder angeblich sämtliche aktuellen PS5-Spiele problemlos ausführen kann, sollte man solche Versprechen kritisch hinterfragen.
Hilfreich sind insbesondere folgende Kontrollen:
- Den GitHub-Benutzernamen und die bisherige Projekthistorie überprüfen.
- Downloads ausschließlich über nachweislich authentische Projektseiten beziehen.
- Keine unbekannten Programme starten, nur weil sie auf GitHub angeboten werden.
- Warnmeldungen des Virenschutzes nicht leichtfertig ignorieren.
- Bei Aufforderungen zur Deaktivierung von Microsoft Defender besonders vorsichtig sein.
Auch hohe Downloadzahlen oder eine überzeugende Beschreibung sind für sich genommen kein Beweis für sichere Software.
Ein weiterer Punkt betrifft die Erwartungen an aktuelle PS5-Emulatoren.
Es existiert derzeit keine allgemein ausgereifte Lösung, die nahezu sämtliche kommerziellen PlayStation-5-Spiele auf einem gewöhnlichen Windows-PC zuverlässig ausführt.
Wer mit solchen Versprechen wirbt, sollte deshalb besonders kritisch betrachtet werden.
Was tun, wenn ein verdächtiger PS5 Emulator installiert wurde?
Wer bereits einen entsprechenden Download gestartet hat, sollte die Situation nicht ignorieren.
Ein nicht funktionierendes Programm bedeutet schließlich nicht automatisch, dass keine Schadsoftware ausgeführt wurde.
Als erste Maßnahme empfiehlt es sich, den betroffenen Computer vom Internet zu trennen.
Anschließend sollten die Sicherheitseinstellungen von Windows überprüft werden. Besonders wichtig sind mögliche unbekannte Ausnahmen in Microsoft Defender.
Danach empfiehlt sich eine vollständige Überprüfung mit aktueller Sicherheitssoftware, gegebenenfalls ergänzt durch einen Offline-Scan.
Da die untersuchte Malware gezielt versucht, Schutzfunktionen zu umgehen und eigene Dateien zu entfernen, kann ein unauffälliger Virenscan eine Infektion nicht sicher ausschließen.
Wenn der Verdacht besteht, dass Passwörter gestohlen wurden, sollten diese von einem anderen, vertrauenswürdigen Gerät geändert werden.
Besonders wichtig sind das E-Mail-Hauptkonto, Passwortmanager und weitere Konten, über die sich andere Zugänge zurücksetzen lassen.
Auch die Zwei-Faktor-Authentifizierung sollte aktiviert oder überprüft werden.
Bei ernsthaftem Infektionsverdacht kann eine vollständige Neuinstallation des Systems die zuverlässigere Lösung sein.
Die Emulator Szene steht vor einem Vertrauensproblem
Der aktuelle Fall zeigt eine Schattenseite der wachsenden Aufmerksamkeit rund um PS5-Emulation und Homebrew.
Während unabhängige Entwickler neue technische Möglichkeiten erforschen, versuchen Kriminelle, deren Bekanntheit für eigene Zwecke auszunutzen.
Dabei müssen sie nicht einmal die ursprünglichen Projekte manipulieren.
Es reicht bereits aus, glaubwürdig wirkende Kopien ihrer Downloadseiten zu erstellen und diese über Suchmaschinen, Foren oder soziale Netzwerke zu verbreiten.
Für gewöhnliche Nutzer wird dadurch immer schwieriger zu unterscheiden, welche Projekte tatsächlich existieren und welche Downloads lediglich mit bekannten Namen werben.
Die jetzt entdeckte Kampagne zeigt außerdem, dass Schadsoftware nicht zwangsläufig durch offensichtliche Fehlermeldungen oder auffälliges Verhalten erkennbar wird.
Im Gegenteil: Gerade Programme, die ihre Spuren schnell entfernen und vorhandene Schutzmechanismen umgehen, können längere Zeit unbemerkt bleiben.
Wer sich mit PS5-Emulatoren beschäftigt, sollte deshalb nicht nur auf neue Funktionen und Fortschritte achten, sondern vor allem auf die Herkunft der verwendeten Software.
Denn statt eines experimentellen PlayStation-Spiels könnte am Ende der Verlust persönlicher Zugangsdaten stehen.
Quelle: Link
Lass uns deine Meinung in den Kommentaren wissen.
